Registratie onder de Cyberbeveiligingswet via MijnNCSC

Wie zich moet registreren

De minister van Justitie en Veiligheid houdt een nationaal register bij van essentiële entiteiten, belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen (art. 43 Cbw). In de praktijk beheert het Nationaal Cyber Security Centrum (NCSC) dat register. Alle drie de groepen moeten de gegevens aanleveren die artikel 44 Cbw noemt.

Volgens het NCSC geldt de registratieplicht sinds de inwerkingtreding op 15 augustus 2026. Een vaste aanmeldtermijn in weken of maanden staat voor deze registratie niet in de wet. Dat maakt het niet vrijblijvend: wie onder de wet valt en nog niet geregistreerd is, loopt achter en moet dit zo snel mogelijk regelen. Het register zelf moest uiterlijk een maand na de inwerkingtreding van artikel 43 klaarstaan (art. 98 Cbw).

Weet u nog niet zeker of u eronder valt? Begin dan bij de pagina Valt uw organisatie onder de Cyberbeveiligingswet? en leg de uitkomst vast. Ook een negatieve uitkomst is het bewaren waard.

Welke gegevens u aanlevert

Artikel 44 lid 1 Cbw en artikel 27 van het Cyberbeveiligingsbesluit (Cbb) bepalen wat er in het register komt. Leg deze gegevens klaar voordat u begint:

Gegeven	Toelichting
Naam en adres	Zoals geregistreerd bij de Kamer van Koophandel.
KvK-nummer	Of een vergelijkbaar registratienummer. Overheden gebruiken hun OIN uit het Register van Overheidsorganisaties.
Contactgegevens	E-mailadressen en telefoonnummers waarop u bereikbaar bent voor het NCSC en de toezichthouder.
IP-bereiken	De publieke IP-adressen van uw organisatie. Het NCSC vraagt daarnaast naar AS-nummers, als u die heeft.
Domeinnamen	De domeinen die u in gebruik heeft.
Sector, subsector en type entiteit	Volgens bijlage 1 of 2 van de Cbw.
Indeling	Essentieel, belangrijk of domeinnaamregistratiedienst.
Lidstaten	De EU-landen waar u diensten verleent die onder de wet vallen.

Neemt u deel aan een regeling voor het uitwisselen van informatie over dreigingen tussen entiteiten, dan geeft u ook dat door, net als een latere terugtrekking (art. 44 lid 1 onder e Cbw).

Zo verloopt de registratie in MijnNCSC

eHerkenning regelen

U logt in op mijn.ncsc.nl met eHerkenning op betrouwbaarheidsniveau EH2+. Heeft uw organisatie nog geen eHerkenningsmiddel op dat niveau, vraag het dan direct aan. De persoon die registreert heeft ook een machtiging nodig. Rijksonderdelen kunnen volgens het NCSC ook met SSOnRijk inloggen.

Gegevens verzamelen

Haal de IP-bereiken, AS-nummers en domeinnamen bij uw IT-afdeling of hostingpartij op. Dit is in de praktijk het onderdeel dat de meeste tijd kost, vooral als meerdere partijen uw netwerk beheren.

Registreren en controleren

Vul het formulier in MijnNCSC in en controleer vooral de sector en de indeling. Die bepalen welke minister, welke toezichthouder en welk CSIRT voor u bevoegd zijn.

Bewijs bewaren

Bewaar een bevestiging of schermafdruk met datum. Noteer wie de registratie heeft gedaan en wie de toegang heeft.

MijnNCSC is ook de plek waar u later significante incidenten meldt. Zorg dus dat minstens twee mensen toegang hebben en dat die toegang ook werkt als uw eigen IT is uitgevallen. Meer daarover op de pagina over de meldplicht.

Wijzigingen binnen twee weken

De registratie is geen eenmalige handeling. Verandert er iets aan de gegevens, dan meldt u dat onverwijld en in elk geval binnen twee weken na de wijziging (art. 44 lid 2 Cbw). Denk aan:

een nieuw IP-bereik na een overstap naar een andere provider of clouddienst;
een nieuwe contactpersoon, omdat de vorige uit dienst is gegaan;
een overname of fusie, waardoor de indeling of de omvang verandert;
een nieuwe activiteit in een ander land of een andere sector.

Twee weken is kort. Koppel de registratie daarom aan bestaande processen: bij het wijzigen van IP-bereiken of het vertrek van een sleutelpersoon hoort een vaste stap ‘register bijwerken’. De minister evalueert het register ten minste elke twee jaar en kan een registratie wijzigen of beëindigen als de grond ervoor verandert (art. 43 Cbw).

Aparte regels voor digitale aanbieders

Voor een aantal digitale diensten geldt daarnaast een Europees register dat ENISA bijhoudt. Het gaat onder meer om DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van clouddiensten, datacenters, CDN’s, managed services en managed security services, onlinemarktplaatsen, zoekmachines en sociale netwerken. Zij moesten hun gegevens binnen een maand na inwerkingtreding aanleveren, dus uiterlijk op 15 september 2026 (art. 47 Cbw). Die termijn is verstreken. Wijzigingen geven zij binnen drie maanden door.

Let op: registratie is een van de punten waarop een toezichthouder het makkelijkst kan controleren. Of een organisatie in het register staat, is in één opzoeking duidelijk. De NIS2-scan vraagt er daarom als eerste naar in het onderdeel ‘Registratie en meldplicht’.

Veelgestelde vragen

Tot wanneer kan ik me registreren?

De Cbw noemt geen aparte uiterste datum. Volgens het NCSC geldt de plicht sinds 15 augustus 2026. Wie eronder valt en nog niet in het register staat, moet de registratie dus direct regelen.

Welk inlogmiddel heb ik nodig?

eHerkenning op niveau EH2+ met een machtiging voor MijnNCSC. Rijksonderdelen kunnen ook SSOnRijk gebruiken.

Moet elke dochteronderneming zich apart registreren?

Het register gaat uit van de entiteit, met KvK-nummer. Valt een dochter zelf onder de wet, dan registreert zij zich met haar eigen gegevens. Stem binnen het concern af wie welke registratie doet.

Wat als onze IP-adressen veranderen?

Dan geeft u de wijziging onverwijld door, en in elk geval binnen twee weken (art. 44 lid 2 Cbw).